MSOL Account

Définition

Le compte MSOL (MSOL Account) est un compte de service Active Directory créé automatiquement lors de l'installation d'Azure AD Connect sur un serveur, historiquement nommé selon le format MSOL_« identifiant aléatoire », chargé d'exécuter les opérations de synchronisation entre l'annuaire Active Directory on-premises et le tenant Azure AD / Microsoft Entra ID. Ce compte se voit accorder des droits de réplication étendus sur le domaine, équivalents fonctionnellement à ceux nécessaires pour une attaque DCSync (Replicating Directory Changes et Replicating Directory Changes All), afin de pouvoir lire les hashes de mots de passe des utilisateurs dans le cadre de la synchronisation Password Hash Synchronization, ainsi que des droits d'écriture sur de nombreux attributs d'objets pour la synchronisation bidirectionnelle des changements. Un attaquant compromettant le serveur hébergeant Azure AD Connect, ou obtenant un accès administrateur local à celui-ci, peut extraire les credentials du compte MSOL depuis la base de données SQL Server locale (souvent LocalDB) utilisée par le service de synchronisation, des outils comme AADInternals automatisant précisément cette extraction pour obtenir un accès équivalent à DCSync sur l'ensemble du domaine on-premises. Compte tenu de cette criticité, le serveur Azure AD Connect doit impérativement être traité comme un actif de niveau Tier 0 et isolé selon les mêmes exigences de sécurité qu'un contrôleur de domaine.